Kurucu
September 14, 2026
22 min read
Bir yapay zekâ aracı sınıfta kullanılmaya başlandığında, pedagojik kararların bir bölümü artık okulun veya üniversitenin kendi altyapısı dışında üretilir. Model güncellenebilir, alt hizmet sağlayıcı değişebilir, veri kullanım amacı genişleyebilir, bir özellik ücretli hâle gelebilir veya hizmet bütünüyle sona erebilir. Buna karşılık eğitim kurumu; öğrenciyi bilgilendirme, insan denetimini sağlama, hatayı inceleme ve eğitim hizmetini sürdürme yükümlülüklerini taşımaya devam eder. Bu nedenle EdTech sözleşmesi yalnızca fiyat, lisans ve hizmet seviyesi belgesi değildir. Kurum politikasını tedarikçiye bağlayan; etik beyanı kanıtla destekleyen; değişikliği görünür, müdahaleyi mümkün ve çıkışı uygulanabilir kılan bir yönetişim aracıdır.
Bir eğitim kurumunun yapay zekâ destekli yazma asistanını önce birkaç öğretmenle denediğini düşünelim. Ürün, deneme sırasında öğrenci metinlerine yaşa uygun geri bildirim vermekte; verilerin model eğitiminde kullanılmadığı belirtilmekte; öğretmen her öneriyi değiştirebilmektedir. Kurum bu koşulları esas alarak kullanım senaryosunu değerlendirir, gerekli bilgilendirmeleri yapar ve YAZEK beyanını oluşturur.
Dönem başladıktan sonra sağlayıcı temel modeli değiştirir. Yeni sürüm daha akıcıdır; fakat Türkçe ölçme ifadelerinde daha fazla hata üretmektedir. Aynı güncellemeyle güvenlik filtresi, saklama ayarı ve alt hizmet sağlayıcı listesi de değişir. Kurum, değişikliği önceden öğrenmemiştir. Eski sürüme dönememekte, kendi kabul testini yeniden çalıştıramamakta ve tartışmalı bir öğrenci çıktısının hangi model-konfigürasyon bileşimiyle üretildiğini görememektedir. Hizmet koşulları ise sağlayıcıya ürünü tek taraflı değiştirme yetkisi vermektedir.
Bu tablo, sıradan bir yazılım arızasından daha fazlasıdır. Etik beyanın dayandığı olgular değişmiş; öğretmenin denetim kapasitesi zayıflamış; öğrencinin itirazı için gerekli kayıtlar belirsizleşmiş ve kurumun eğitim hizmetini hangi koşullarda sürdürdüğü tedarikçinin ürün kararına bağlanmıştır. Sorun sözleşmenin sonunda değil, başında doğmuştur: Algoritma sınıfa girmeden önce sözleşmeye yeterince girmemiştir.
Millî Eğitim Bakanlığı Yapay Zekâ Uygulamaları Etik Beyan Sistemi (YAZEK), belirli bir eğitim kullanımını; amaç, hedef kitle, veri, insan denetimi ve etik ilkeler bakımından görünür kılar. Öğrencinin yapay zekâ ile doğrudan etkileşimi, öğrenci verisinin işlenmesi ve yapay zekânın değerlendirme, puanlama, geri bildirim ya da gruplandırmada kullanılması beyan gerektiren başlıca senaryolardandır. YAZEK aynı zamanda Bakanlıkça onaylanmış bir “güvenli araçlar listesi” bulunmadığını; sorumluluğun somut kullanım üzerinden ele alındığını açıklar.[1]
YAZEK’in açıklanan kurumsal kapsamı MEB’e bağlı resmî okullar, özel öğretim kurumları, bilim ve sanat merkezleri ile halk eğitimi merkezleridir; üniversiteler bu sayılan kapsamda yer almaz. Bu nedenle aşağıdaki modelde YAZEK, kapsamındaki kurumlar için doğrudan beyan mimarisi; yükseköğretim kurumları içinse kendi mevzuat ve yönetişim yapıları içinde uyarlanabilecek bir politika referansı olarak ele alınmaktadır.
Bu yapı önemli bir ayrımı ortaya çıkarır: Beyanı uygulamayı gerçekleştirecek öğretmen oluşturur; ancak beyanın doğruluğu için gereken bazı bilgiler yalnızca tedarikçide bulunabilir. Modelin sürümü, alt sağlayıcı zinciri, saklama mimarisi, eğitim verisi, performans testleri, güvenlik olayı, sistem günlüğü veya yaklaşan ürün değişikliği kurumun doğrudan gözlem alanında olmayabilir. Eğitim kurumu, görmediği bir teknik katman hakkında yine de hukuken ve etik olarak anlamlı bir karar vermek zorundadır.
MEB’in eğitimde yapay zekâ yaklaşımı da sağlayıcıları yönetişim alanının dışında bırakmaz. Yapay Zekâ Etiği Tavsiyeleri; geliştirici ve hizmet sağlayıcılar bakımından tasarımdan itibaren mahremiyet, etki değerlendirmesi, açıklanabilirlik, insan onayı, yanlılık testleri, yaşa ve pedagojik amaca uygunluk, erişilebilirlik ve üçüncü taraflarla güvenli iş birliği gibi tedbirleri öne çıkarır. Eğitim yöneticilerine ise tedarikçinin mevzuata ve kurumun etik-şeffaflık politikasına uyumunu takip etme görevi yükler.[2]
Dolayısıyla YAZEK, sözleşmenin yerini tutmaz; fakat sözleşmede hangi kurumsal sonuçların üretilmesi gerektiğini gösterir. Etik beyan “şeffaflık sağlanıyor” diyorsa sözleşme, hangi bilgi ve kaydın ne zaman verileceğini; “insan denetimi var” diyorsa sistemin hangi teknik yetkiyle geçersiz kılınabileceğini; “veri model eğitiminde kullanılmıyor” diyorsa bunun kapsamını, istisnasını ve doğrulama yöntemini belirlemelidir.
Bu serinin önceki halkalarında YAZEK’in yaşayan bir uyum döngüsünün kapısı olduğu ve yapay zekâ kullanımından önce eğitimsel etki değerlendirmesi yapılması gerektiği savunulmuştu. Bu yazı bir sonraki bağlantıya odaklanıyor: Kurumun kendi değerlendirmesinde verdiği karar, tedarikçiye karşı nasıl sürdürülebilir bir hakka dönüşür?
Teknoloji sözleşmeleri çoğu zaman lisans kapsamı, ücret, erişilebilirlik oranı, destek süresi, gizlilik, sorumluluk sınırı ve fesih hükümleri etrafında müzakere edilir. Bunların tümü gereklidir; ancak yapay zekâ destekli eğitim hizmetinde yeterli değildir. Çünkü eğitim kurumunun asıl ihtiyacı yalnızca zarar doğduktan sonra kime rücu edeceğini bilmek değildir. Zarar doğmadan önce sistemi tanıyabilmesi, sınırlandırabilmesi, test edebilmesi, değişikliği yakalayabilmesi ve gerekirse durdurabilmesidir.
Bu nedenle sözleşme üç soruya birlikte cevap vermelidir:
Yükümlülük: Tedarikçi ve kurum hangi sonucu sağlamak zorundadır?
Kanıt: Bu sonucun sağlandığı hangi kayıt, test veya belgeyle doğrulanacaktır?
Müdahale: Sonuç sağlanmazsa kurum hangi teknik ve hukuki yetkiyi kullanabilecektir?
Örneğin “sistem ayrımcılık yapmayacaktır” cümlesi tek başına güçlü bir güvence değildir. Hangi kullanım senaryosunda, hangi öğrenci grupları ve hangi hata türleri bakımından ölçüm yapılacağı; kabul edilebilir eşiklerin ne olduğu; kurumun test verisiyle doğrulama yapıp yapamayacağı ve eşik aşılırsa özelliğin sınırlandırılması, düzeltilmesi ya da geri alınması sözleşmede karşılık bulmalıdır. Aynı şekilde “insan denetimi sağlanır” hükmü; öğretmenin çıktıyı görme, gerekçeyi anlama, değiştirme veya reddetme yetkisi, yeterli inceleme süresi, yetki matrisi ve işlem kaydı yoksa kâğıt üzerinde kalabilir.
Tazminat, sorumluluk limiti ve sigorta, bu mimarinin son savunma hattıdır. Genesis Hukuk’un daha önce yayımladığı sigorta ve kurumsal sorumluluk incelemesi, algoritmik hatanın mali sonuçlarının hangi taraf ve poliçe üzerinde kalabileceğini ele almıştır.[3] Buradaki mesele farklıdır: Sözleşmeyi zarar dağıtım belgesinden, zararı önleyen bir yönetişim aracına dönüştürmek.
Her bulut hizmetinde siber güvenlik, erişilebilirlik, veri işleme ve süreklilik önemlidir. Yapay zekâ ise bunlara beş ayrı belirsizlik katmanı ekler.
Birincisi, çıktı olasılıksaldır. Aynı veya benzer girdiler farklı sonuçlar doğurabilir; “çalışıyor” olmak, pedagojik olarak geçerli veya belirli bir hata eşiğinin altında olmak anlamına gelmez.
İkincisi, ürün hareketli bir hedeftir. Temel model, ince ayar, bilgi erişim kaynağı, sistem talimatı, güvenlik filtresi, varsayılan ayar veya kullanıcı arayüzü değiştiğinde ürün adı aynı kalsa bile risk profili değişebilir. MEB Öğretmen El Kitabı’nın “dijital değişkenlik” olarak işaret ettiği arayüz, algoritma, fiyatlandırma ve erişim değişiklikleri bu nedenle yalnızca kullanım kolaylığı değil; ölçme güvenilirliği ve eğitim sürekliliği meselesidir.[4]
Üçüncüsü, doğrudan sözleşme yapılan şirket çoğu kez sistemin tamamını üretmez. Uygulama sağlayıcısının arkasında temel model geliştiricisi, bulut altyapısı, içerik denetleme servisi, analitik aracı ve destek yüklenicileri bulunabilir. Okulun sözleşme ilişkisi tek bir şirketle, teknik bağımlılığı ise bir tedarik zinciriyledir.
Dördüncüsü, sistem yalnızca kuruma verilen veriyi saklamaz; etkileşimlerden yeni veriler türetebilir. Kullanım telemetrisi, hata etiketi, öğrenci eğilimi, geri bildirim örüntüsü veya risk göstergesi; ham girdiden ayrı bir yönetişim konusu hâline gelir.
Beşincisi, kanıt asimetrisi vardır. Tedarikçi modelin performansını ve değişikliklerini ölçebilir; kurum ise öğrenciye karşı kararını açıklamak zorunda olduğu anda gerekli kayda erişemeyebilir. NIST’in üretken yapay zekâ risk profili de üçüncü taraf riskinin kullanım bağlamına göre değerlendirilmesini, tedarikçi değişikliklerinin izlenmesini ve sözleşmelerde sahiplik, kullanım, kalite, güvenlik, ikincil kullanım, sistem değişikliği, olay bildirimi, süreklilik ve sona erdirme hususlarının açıklaştırılmasını önerir.[5]
Bu özellikler, standart bir bulut sözleşmesinin tamamen terk edilmesini değil; yapay zekâya özgü bir yönetişim katmanıyla tamamlanmasını gerektirir.
Bu yazıda sözleşmesel gözlemlenebilirlik ifadesini, kanunda tanımlanmış müstakil bir hak veya yerleşik bir hukuk terimi olarak değil, kurumsal politika önerisi olarak kullanıyoruz. Kavram, eğitim kurumunun hizmet yaşam döngüsünün herhangi bir anında şu sorulara kanıta dayalı cevap verebilmesini anlatır:
Hangi sistem, model, sürüm ve konfigürasyon kullanılıyor?
Sistem hangi amaç, hedef grup ve veri akışı için yetkilendirildi?
Belirli bir öğrenci çıktısında yapay zekânın ve insanın etkisi neydi?
Teknik, ticari veya veri işleme koşullarında ne değişti?
Performans, güvenlik ve eşitlik iddiaları nasıl doğrulandı?
Kurum hatayı nasıl düzeltebilir, özelliği nasıl durdurabilir ve hizmetten nasıl çıkabilir?
Gözlemlenebilirlik, tedarikçinin kaynak kodunu koşulsuz biçimde açması demek değildir. Kaynak koduna erişim kimi kullanımda gerekli bile olmayabilir; kimi durumda ise tek başına anlamlı açıklama sağlamaz. İhtiyaç, kullanımın etkisiyle orantılı bir kanıt ve erişim merdiveni kurmaktır. Genel sistem kartı, amaçlanan ve yasak kullanımlar ile temel performans bilgileri kuruma açık olabilir; ayrıntılı test raporları, mimari ve alt tedarikçi bilgisi gizlilik yükümlülüğü altında paylaşılabilir; daha hassas kayıtlar bağımsız denetçi veya yetkili makam erişimine ayrılabilir. Bazı hallerde güvenilir üçüncü taraf doğrulaması, güvenli inceleme ortamı ya da özetlenmiş teknik kanıt kullanılabilir.
Ticari sır meşru bir menfaattir; fakat yüksek etkili bir öğrenci kararında “ürün kapalı kutudur” cevabı, kurumun açıklama ve inceleme ihtiyacını ortadan kaldırmaz. Doğru çözüm sınırsız ifşa ile sıfır görünürlük arasında, amaçla sınırlı ve gizlilikle korunan erişim katmanlarıdır.
YAZEK ve kurumsal yapay zekâ politikasındaki ilkeler, aşağıdaki gibi sözleşmesel bir kontrol zincirine çevrilebilir.
Şeffaf ve açıklanabilir kullanım için sözleşmede amaçlanan ve yasak kullanım, öğrenciye sunulacak açıklama ve bireysel çıktı izi somutlaştırılır. Asgari kanıt sistem ve kullanım kartı, açıklama örneği ve sürüm kaydıdır; kurum açıklanamayan işlevi sınırlandırabilir veya askıya alabilir. İnsan tarafından gerçek denetim rol ve yetkileri, değiştirme/reddetmeyi, otomatik işlemi kapatmayı ve eğitimi gerektirir. Kanıt yetki testi, iş akışı kaydı ve kullanıcı eğitimi teslimidir; kurum otomatik özelliği devre dışı bırakabilir ve manuel yola dönebilir. Veri ve mahremiyet güvencesi veri kategorilerini, amaçları, ikincil kullanımı, alt işleyenleri, aktarımı, saklama ve silmeyi kapsar. Kanıt veri akış haritası, alt işleyen sicili, ayar kanıtı ve silme raporudur; kurum işlemeyi durdurabilir, veri iadesi/silme, denetim ve fesih yoluna gidebilir.
Pedagojik ve teknik güvenilirlik yerel kullanım ölçütlerini, hata türlerini, grup bazlı sonuçları ve dayanıklılığı sözleşmeye bağlar. Kanıt kabul ve regresyon testi ile olay ve performans raporudur; kurum güncellemeyi reddedebilir, geri alabilir veya düzeltme planı isteyebilir. Değişikliklerin yönetimi “önemli yapay zekâ değişikliği” tanımını, ön bildirimi ve yeniden testi somutlaştırır. Kanıt sürüm notu, etki özeti ve karşılaştırmalı testtir; kurum onayı koşullandırabilir, eski sürümü koruyabilir, askıya alabilir veya çıkışa gidebilir. Süreklilik ve geri döndürülebilirlik veri/çıktı taşınabilirliğini, geçiş desteğini, manuel alternatifi ve silmeyi gerektirir. Kanıt makinece okunabilir dışa aktarım, çıkış testi ve silme belgesidir; kurum geçiş süresi, destek, fesih ve ikame çözüm hakkını elinde tutar.
Bu zincir hazır madde metni değildir. Kullanım senaryosu, kurum türü, tarafların fiilî rolleri, öğrencinin yaşı, kararın etkisi ve tedarik yöntemi gözetilerek somutlaştırılması gereken bir tasarım haritasıdır.
Yapay zekâ yönetişiminin onlarca dağınık hüküm içinde kaybolmaması için ana sözleşmeye bağlı, birbiriyle konuşan beş ek kullanılabilir. Bu yaklaşım hem özel eğitim kurumlarının tedarikinde hem de uygulanabildiği ölçüde kamu alımlarının teknik şartname ve sözleşme yapısında uyarlanabilir.
İlk ek, satın alınan “ürünü” değil, izin verilen eğitim kullanımını tanımlar. Sistem veya modül adı; doğrudan tedarikçi; temel model ve önemli bileşenler; sürüm/konfigürasyon; hedef yaş ve kullanıcı grubu; pedagojik amaç; veri kategorileri; çıktının öğretmen ya da idari karardaki ağırlığı; amaçlanan ve açıkça yasaklanan kullanımlar burada yer alır.
Bu pasaport, pazarlama metnindeki geniş kabiliyet listesi ile kurumun hukuken izin verdiği kullanım arasına sınır çeker. Örneğin bir sistem geri bildirim taslağı üretmek için alınmışsa, aynı modülün öğrenciyi otomatik puanlamak, disiplin şüphesi yaratmak veya psikolojik eğilim çıkarmak için kullanılması kendiliğinden sözleşme kapsamına girmez. Yeni kullanım yeni lisans ücreti doğurmasa bile yeni bir pedagojik ve hukuki değerlendirme gerektirebilir.
Pasaport aynı zamanda beyan dosyasının referans noktasıdır. YAZEK formundaki araç, kapsam, eğitsel amaç ve hedef kitle bilgileri ile sözleşme eki arasında sürüm ve tarih bağı kurulursa kurum, hangi olgu setine dayanarak beyanda bulunduğunu daha sonra gösterebilir.
İkinci ek yalnızca “kişisel veriler KVKK’ya uygun işlenir” cümlesinden ibaret olmamalıdır. Kurum verisi, öğrenci/öğretmen girdileri, yüklenen içerikler, model çıktıları, geri bildirimler, kullanım telemetrisi ve bu verilerden türetilen profiller ayrı ayrı ele alınmalıdır. Her veri kümesi için amaç, hukuki rol, erişen taraf, saklama süresi, konum, aktarım, yedek, silme ve ikincil kullanım koşulu gösterilmelidir.
Burada iki hukuki gerçek önemlidir. İlki, tarafların sözleşmede kendilerine verdiği “veri sorumlusu” veya “veri işleyen” etiketi fiilî işleyişin önüne geçmez. KVKK’nın üretken yapay zekâ rehberi de rolleri; amaç ve işleme vasıtaları üzerindeki gerçek karar yetkisine göre, karmaşık ve dinamik yaşam döngüsü boyunca değerlendirmektedir.[6] Tedarikçi veriyi kendi ürününü geliştirmek, model eğitmek veya bağımsız analitik üretmek için kullanıyorsa rol analizi bu fiilî amaç üzerinden yapılmalıdır.
İkincisi, dış kaynak kullanımı kurumun güvenlik ve denetim sorumluluğunu ortadan kaldırmaz. KVKK’nın 12. maddeye ilişkin açıklamaları, veri işleyenin bulunduğu durumda güvenlik tedbirleri bakımından müşterek sorumluluğa ve veri sorumlusunun gerekli denetimleri yapma yükümlülüğüne dikkat çeker.[7] Bu nedenle denetim hakkı, olay bildirimi, alt işleyen akışı ve silmenin doğrulanması sözleşmenin tali ayrıntısı değildir.
Yurt dışı aktarım maddesi de yalnızca “sunucular Avrupa’dadır” beyanına indirgenemez. 2024’te değişen KVKK rejimi; yeterlilik kararı, uygun güvenceler ve arızi hâllerden oluşan bir yapı kurmuştur. Somut veri akışı, taraf, ülke, alt aktarımlar ve kullanılacak hukuki mekanizma ayrıca belirlenmelidir.[8] Alt işleyen veya veri konumu değiştiğinde kurumun yalnızca e-posta alması değil, değişikliğe itiraz etmesi, alternatif çözüm istemesi ya da uygun güvence yoksa ilgili veri akışını durdurması gerekebilir.
Fikrî haklar bakımından bu ek, eğitim içeriğinin genel sahiplik tartışmasını yeniden kurmak yerine tedarik zincirine odaklanmalıdır: Tedarikçi, kullandığı model ve bileşenleri sunmaya yetkili midir? Kurumun yüklediği ders materyalleri, öğretmen içerikleri ve öğrenci çalışmaları hangi dar lisansla işlenir? Girdi ve çıktılar model eğitimi, ürün geliştirme veya başka müşterilere hizmet için kullanılabilir mi? Üçüncü kişi hak iddialarında kanıt ve iş birliği nasıl sağlanır? Genesis Hukuk’un LMS içerikleri ve uzaktan eğitim materyalleri üzerine önceki incelemeleri sahiplik ve kullanım yetkisini ayrıntılı biçimde ele aldığından, yeni sözleşme katmanı o hakların sağlayıcı zincirinde korunmasını sağlamalıdır.[9]
Klasik hizmet seviyesi çoğu kez sistemin erişilebilir olduğu zamanı ölçer. Oysa yüzde 99,9 çalışan bir araç pedagojik olarak yanlış, belirli bir grupta sistematik biçimde zayıf veya öğretmenin denetleyemeyeceği kadar opak olabilir. Yapay zekâ kabulü bu nedenle yalnızca “ekran açıldı mı?” testi değildir.
Protokol; hangi görevlerin hangi veri ve dil bağlamında deneneceğini, hata türlerini, yanlış pozitif/yanlış negatif maliyetini, Türkçe ve yaş grubu performansını, erişilebilirliği, güvenlik sınamalarını, kabul eşiklerini ve test tekrarlarını tanımlamalıdır. Öğrenci üzerinde doğrudan denemeden önce sentetik, anonimleştirilmiş veya hukuka uygun kontrollü veriyle pilot yapılması; yüksek etkili kullanımlarda bağımsız değerlendirme ya da kurumun kendi doğrulamasının aranması düşünülebilir.
“Sıfır halüsinasyon”, “tam tarafsızlık” veya bağlamsız bir “yüzde 99 doğruluk” taahhüdü çoğu zaman denetlenebilir değildir. Doğru yöntem; test kümesini, ölçüm yöntemini, toleransı, önemli öğrenci gruplarını ve eşik aşımının sonucunu tanımlamaktır. Bir yazma asistanı ile notlandırma sistemi için aynı güvence standardı kullanılamaz.
İnsan denetimi de kabul testinin parçası olmalıdır. Öğretmen çıktıyı reddedebiliyor mu? Sistem, öneriyi nihai karar gibi mi sunuyor? Otomasyon yanlılığını azaltacak uyarılar var mı? Kullanıcı, hangi verinin sonuca etki ettiğini görebiliyor mu? İtiraz üzerine olayın ilgili sürüm, girdi, çıktı ve insan müdahalesiyle yeniden kurulması mümkün mü? Tedarikçi gerekli yönetici kontrollerini, yetki rollerini, kullanım talimatını ve eğitimi teslim etmeden “insan döngüde” sonucu kabul edilmiş sayılmamalıdır.
Bir kez yapılan kabul de süresiz güvence değildir. Kabul edilen sürüm ve konfigürasyon bir başlangıç çizgisi oluşturmalı; önemli güncellemeler aynı kritik testlerin tekrarını, yani regresyon incelemesini tetiklemelidir.
Yapay zekâ sözleşmesinin en ayırt edici bölümü değişiklik kontrolüdür. Tedarikçinin güvenlik açığını hızla kapatabilmesi gerekir; kurumun da dönem ortasında habersiz bir pedagojik deneyin parçası olmaması gerekir. Bu iki ihtiyaç, bütün güncellemeleri yasaklayan veya tümünü sağlayıcının takdirine bırakan uç hükümlerle dengelenemez.
Sözleşme, önemli yapay zekâ değişikliğini işlevsel sonuç üzerinden tanımlayabilir. Temel model veya model sağlayıcısı; ince ayar ve bilgi kaynağı; güvenlik filtresi; varsayılan sistem talimatı; açıklama veya insan onayını etkileyen arayüz; veri kullanım amacı; alt işleyen ve veri konumu; hedef yaş; performans eşiği; önemli bir özelliğin kaldırılması; fiyat veya erişim modelinin eğitim sürekliliğini etkileyecek biçimde değişmesi bu kapsama girebilir.
Her değişiklik aynı prosedürü gerektirmez. Acil güvenlik güncellemesinde kısa bildirim ve sonradan kanıt kabul edilebilirken; amaç, veri akışı veya öğrenci kararındaki etkiyi değiştiren güncelleme için ön bildirim, etki özeti, test sonucu ve kurum onayı aranabilir. Kurumun hakları da kademeli olmalıdır: bilgi isteme, ek test, belirli işlevi kapatma, güncellemeyi erteleme, önceki sürüme dönme, kullanım alanını daraltma, düzeltme planı, askıya alma ve son çare olarak fesih.
Bu iç değişiklik eşiği ile YAZEK’in yeniden beyan eşiği birbirine karıştırılmamalıdır. YAZEK’in güncel açıklamasına göre platform özelliğindeki bir değişiklik; uygulamanın kapsamını, öğretimsel amacını veya hedef kitlesini değiştirmiyorsa tek başına yeniden beyan gerektirmez. Buna karşılık araç, kapsam, amaç ya da hedef kitle değişmişse yeni beyan gündeme gelebilir.[10] Kurum sözleşmesel bildirimi aldıktan sonra önce kendi etki ve veri değerlendirmesini yenilemeli; ardından YAZEK bakımından somut değişikliğin yeniden beyan gerektirip gerektirmediğine karar vermelidir. Her güncelleme yeni beyan değildir; fakat her önemli güncelleme yeni bir kurumsal bakış gerektirir.
Olay yönetimi de yalnızca kişisel veri ihlalinden ibaret değildir. Sistematik yanlış not, belirli öğrenci grubunda performans düşüşü, zararlı içerik, açıklama üretilememesi, yetkisiz model değişikliği, günlük kaybı ve uzun hizmet kesintisi ayrı olay sınıflarıdır. Bildirim süresi; olayın niteliği, kapsamı, etkilenen öğrenciler, geçici tedbir, kök neden, düzeltme takvimi ve öğrenci kararlarının yeniden incelenmesi için gereken kanıtlarla birlikte düzenlenmelidir.
Çıkış hükmü yalnızca “taraflar otuz gün önceden bildirerek feshedebilir” cümlesi değildir. Eğitim kurumu için gerçek çıkış; veriyi, içeriği, çıktı kayıtlarını ve gerekli meta veriyi kullanılabilir biçimde alabilmek; alternatif sisteme veya manuel sürece geçebilmek; öğrenciye verilen hizmeti kesintiye uğratmamak ve eski sağlayıcıdaki kopyaların silindiğini doğrulayabilmektir.
Bu nedenle makinece okunabilir dışa aktarım formatı, veri sözlüğü, aktarılacak girdi/çıktı/karar kaydı, geçiş desteği, teslim süresi, maliyet, hizmetin geçici devamı, yedeklerden silme takvimi ve silme belgesi önceden tanımlanmalıdır. Kritik ve kuruma özgü bir sistemde kaynak kod emaneti, yapılandırma devri veya uzun geçiş hizmeti gibi daha güçlü önlemler ayrıca değerlendirilebilir.
AB Veri Tüzüğü’nün 12 Eylül 2025’ten beri uygulanan veri işleme hizmetleri bakımından geçiş yaklaşımı; müşterinin girdi ve çıktı verileri ile gerekli meta veriyi makinece okunabilir biçimde dışa alabilmesini, sözleşmesel ve teknik geçiş engellerinin kaldırılmasını öne çıkarır.[11] Bu düzenleme her Türk eğitim tedarikine doğrudan uygulanıyor kabul edilemez; ancak çıkış kabiliyetinin artık yalnızca iyi niyetli destek değil, dijital pazar politikasının merkezi unsurlarından biri olduğunu gösterir.
Eğitim bakımından buna bir unsur daha eklenmelidir: pedagojik geri döndürülebilirlik. Sistem kapanırsa öğretmen aynı öğrenme çıktısını başka bir yöntemle sürdürebiliyor mu? Hatalı bir yapay zekâ etiketi geri alınabiliyor ve o etikete dayalı kararlar yeniden incelenebiliyor mu? Öğrenci geçmişteki bir model skorunun yeni sağlayıcıya kontrolsüz biçimde taşınmasından korunuyor mu? Çıkış planı teknik taşınabilirlik kadar bu sorulara da cevap vermelidir.
4734 sayılı Kamu İhale Kanunu kapsamındaki bir alımda yapay zekâ güvencelerinin sözleşme imzalanırken ilk kez gündeme gelmesi geç olabilir. Kanun, teknik kriterlerin ihale dokümanının parçası olan teknik şartnamede yer almasını; verimlilik ve fonksiyonelliği sağlamasını, rekabeti engelleyici nitelik taşımamasını ve bütün istekliler için fırsat eşitliği sağlamasını arar. 4735 sayılı Kamu İhale Sözleşmeleri Kanunu ise sözleşmenin ihale dokümanına aykırı düzenlenemeyeceğini; sözleşme değişikliklerini kanunda öngörülen hâllerle sınırlı tuttuğunu ve muayene-kabul ile yaptırım hükümlerinin sözleşme yapısında yer almasını öngörür.[12]
Sonuç açıktır: 4734 ve 4735 kapsamındaki kamu eğitim alımlarında yapay zekâ etiği, veri akışı, teknik kanıt, insan denetimi, değişiklik bildirimi, denetim ve çıkış gereksinimleri mümkün olduğunca ihtiyaç tespiti ve şartname aşamasında tasarlanmalıdır. İhale sonrasında temel bir denetim yetkisini veya yeni bir kabul kriterini pazarlıkla ekleyebilme varsayımı güvenilir değildir.
Bu gereksinimler belirli bir marka, model veya kapalı teknik çözümü tarif etmek yerine işlev ve kanıt üzerinden yazılabilir: “Türkçe ortaöğretim metinlerinde şu yöntemle ölçülecek hata eşiği”, “yüksek etkili çıktının yetkili kullanıcı tarafından reddedilebilmesi”, “önemli model değişikliğinde şu süreyle bildirim ve regresyon testi”, “kurum verisinin makinece okunabilir dışa aktarımı” gibi. Böylece etik güvence ile rekabet ilkesi aynı tasarımda buluşturulabilir.
Her kamu kurumu ve her alım aynı rejime tabi değildir; istisna, kapsam, alım türü ve ikincil mevzuat somut olayda ayrıca incelenmelidir. Özel okul, vakıf üniversitesi veya özel sektör tedarikinde de yöntem değişebilir. Ancak zamanlama dersi ortaktır: Satın alma ölçütüne girmeyen etik ilke, sözleşmede pazarlık gücü bulamayabilir.
Avrupa Komisyonunun kamu alıcıları topluluğu için yayımladığı ve Mart 2025’te güncellediği Yapay Zekâ Model Sözleşme Hükümleri, yüksek riskli sistemler ve daha hafif kullanım senaryoları için iki ayrı set sunar. Açıklama belgesi; risk yönetimi, veri yönetişimi, teknik dokümantasyon, kayıtlar, doğruluk ölçütleri, insan gözetimi, düzeltici faaliyet, denetim, veri kümelerine ilişkin haklar ve bireysel açıklama desteğini sözleşme düzlemine taşır. Aynı belge, model hükümlerin tek başına tam bir sözleşme olmadığını; fikrî haklar, kabul, ödeme, süre, uygulanacak hukuk ve sorumluluk gibi konularla tamamlanması gerektiğini özellikle belirtir.[13]
Bu yaklaşım Türkiye için hazır bir mevzuat metni değildir. Bununla birlikte önemli bir politika yönünü gösterir: Yapay zekâ uyumu, tedarikçinin soyut “mevzuata uygundur” garantisine bırakılamaz; kurumun kendi yükümlülüklerini yerine getirebilmesi için bilgi, teknik erişim ve iş birliği sözleşmede akmalıdır.
AB Yapay Zekâ Tüzüğü de belirli eğitim kullanımlarını—kuruma kabul veya erişim, öğrenme çıktılarının değerlendirilmesi, eğitim seviyesinin belirlenmesi ve sınav davranışının izlenmesi gibi—Ek III kapsamında yüksek riskli alanlar arasında sayar. Yüksek riskli sistemlerde kullanıcı talimatı, amaç, doğruluk ölçütleri, öngörülebilir risk, insan gözetimi, kayıt ve değişiklik bilgileri ile tedarik zinciri iş birliği dikkat çeken başlıklardır.[14] 9 Eylül 2026 itibarıyla Komisyonun güncel uygulama takviminde, 2026 değişikliği sonrasında Ek III yüksek risk kurallarının uygulanma tarihi 2 Aralık 2027 olarak gösterilmektedir.[15] Dolayısıyla bu hükümler hem yer ve rol kapsamı hem de uygulama zamanı incelenmeden Türkiye’deki her kuruma bugünden doğrudan yükümlülük gibi sunulmamalıdır. Yine de tedarik sözleşmelerinin hangi kanıt akışına doğru evrildiğini göstermeleri bakımından değerlidir.
Benzer biçimde Birleşik Krallık Eğitim Bakanlığının Ocak 2026’da güncellediği üretken yapay zekâ ürün güvenliği standartları; sağlayıcının amaçlanan kullanım ve yaş grubunu tanımlamasını, iddialarını sağlam ve şeffaf kanıtla desteklemesini, istem/yanıt ve performans kayıtlarını tutmasını, yeni model ve sürümleri yayımdan önce test etmesini ve okulun doğrudan sözleşme yaptığı sağlayıcının kendi üst tedarik zinciri için güvence vermesini bekler.[16] Bağlayıcı Türk hukuku olmayan bu örnekler, eğitim kurumunun yalnızca nihai arayüzü değil, arkasındaki değişim ve kanıt zincirini de satın aldığını doğrulamaktadır.
Kurumsal mimarinin en kolay aşıldığı yer, öğretmenin veya bölümün bir araca bireysel hesapla kaydolduğu “ücretsiz deneme” alanıdır. Para ödenmemesi, hukuki ilişkinin ve kullanım koşullarının yokluğu anlamına gelmez. Aksine kurum; müzakere edilmemiş çevrim içi koşullara, sağlayıcının tek taraflı değişiklik yetkisine, sınırlı destek ve kayıt imkânına, reklam veya ürün geliştirme amaçlarına ve ani ücretlendirmeye daha açık hâle gelebilir.
Bu nedenle kabul edilebilir yapay zekâ kullanım politikası, gölge tedariki de kapsamalıdır. Kişisel hesapla kullanılan bir aracın öğrenci verisi alması, öğrenciyle doğrudan etkileşmesi veya ölçme-değerlendirmeye etki etmesi; “bütçe kullanılmadığı” gerekçesiyle kurum envanteri, etki değerlendirmesi ve YAZEK süreci dışında bırakılamaz. Düşük riskli fikir üretimi veya anonim materyal taslağı ile öğrenciye ilişkin yüksek etkili kullanım aynı yasak altında toplanmak zorunda değildir; fakat risk arttıkça kurumsal hesap, onaylı koşullar ve kanıt gereği de artmalıdır.
Müzakere edilemeyen standart koşullar bakımından Türk Borçlar Kanunu’nun genel işlem koşullarına ilişkin 20–25. maddeleri ve özellikle düzenleyene karşı taraf aleyhine tek taraflı değişiklik yetkisi tanıyan kayıtları ele alan 24. maddesi somut ilişkiye göre ayrıca değerlendirilmelidir.[17] Bu hükümler her çevrim içi şartı kendiliğinden geçersiz kılan bir kısa yol değildir. En güvenli kurumsal yöntem; hangi koşulların kabul edildiğini sürümü ve tarihiyle arşivlemek, ana sözleşme ile çevrim içi koşullar arasında öncelik sırası kurmak ve sağlayıcının web sayfasındaki değişikliğin müzakere edilmiş güvenceleri bertaraf edemeyeceğini açıklaştırmaktır.
Doğrudan sağlayıcı, “temel model bize ait değil” veya “bulut altyapısını başka şirket işletiyor” diyebilir. Bu açıklama teknik olarak doğru olsa bile kurum açısından çözüm değildir. Eğitim kurumu her alt sağlayıcıyla ayrı sözleşme kuramayabilir. Bu nedenle doğrudan tedarikçi, kendi kontrol alanındaki yükümlülükleri alt sözleşmelere yansıtmalı; üst sağlayıcıdan alamadığı bilgi veya hakkı dürüstçe belirtmeli ve sunamadığı güvenceyi varmış gibi pazarlamamalıdır.
Sözleşmede en azından kritik alt sağlayıcıların ve işlevlerinin görünürlüğü, değişiklik bildirimi, eşdeğer veri-güvenlik yükümlülüklerinin aşağı akışı, olaylarda tek temas ve koordinasyon sorumluluğu, kanıt toplama yükümlülüğü ve alt sağlayıcı davranışından doğan sonuçların dağılımı kurulmalıdır. AB Yapay Zekâ Tüzüğü’nün 25. maddesinde yüksek riskli sistem sağlayıcısı ile yapay zekâ sistemi, araç, hizmet, bileşen veya süreç sağlayan taraflar arasında bilgi, teknik erişim ve yardımın yazılı anlaşmayla düzenlenmesine yer verilmesi, bu ihtiyacın düzenleyici düzeyde de fark edildiğini gösterir.[14]
Ancak sözleşmedeki rol ve sorumluluk dağılımı kurumun öğrenciye, veliye veya yetkili makama karşı kendi yükümlülüğünü yok etmez. Tedarikçiye rücu edebilmek başka; karar öncesinde gerekli özeni göstermek, insan denetimini sağlamak ve itirazı incelemek başkadır.
Her ürün için sıfırdan uzun sözleşme hazırlamak ölçeklenebilir değildir. Daha kalıcı çözüm, kurumun politika seti içinde bir Eğitimde Yapay Zekâ Tedarik ve Sözleşme Standardı oluşturmaktır. Bu standart tek bir şablon değil, birbirine bağlı bir karar düzenidir:
Yapay zekâ içeren hizmetleri satın alma öncesinde yakalayan kısa bir tarama formu,
kullanımın etkisine göre düşük, orta ve yüksek güvence düzeyleri,
YAZEK ve kurum içi etki değerlendirmesi kararlarını şartname ve sözleşmeye taşıyan kontrol eşleştirmesi,
beş ekten oluşan modüler sözleşme/şartname kütüphanesi,
hukuk, satın alma, bilgi güvenliği, veri koruma, akademik birim ve erişilebilirlik rollerini gösteren onay matrisi,
kabul, sürüm, değişiklik, olay ve denetim kanıtlarının tutulduğu sözleşme dosyası,
yeniden değerlendirme ve YAZEK yeniden beyan kararını birbirinden ayıran değişiklik prosedürü,
kritik hizmetler için periyodik çıkış ve manuel devamlılık testi.
Güvence düzeyi sözleşme hacmine değil, kullanımın etkisine bağlanmalıdır. Öğretmenin kişisel veri içermeyen ders fikri üretmesi için kaynak kod denetimi istemek orantısız olabilir. Buna karşılık öğrenci kabulü, notlandırma, disiplin, özel eğitim desteği, biyometrik izleme veya psikolojik çıkarımda salt gizlilik politikası bağlantısıyla yetinmek de yetersizdir. Modüler standart, gereksiz yük ile eksik koruma arasındaki dengeyi sağlar.
İlk uygulama adımı yeni bir şablon indirmek değil, mevcut tabloyu görmektir. Kurum hangi yapay zekâ özelliklerini hangi sözleşmeler altında kullanıyor? Hangi sözleşmeler tedarikçinin model, veri veya alt sağlayıcıyı tek taraflı değiştirmesine izin veriyor? Hangi YAZEK beyanı tedarikçi kanıtıyla desteklenebiliyor? Hangi kritik hizmette kullanılabilir dışa aktarım ve manuel alternatif var? Bu sorular üzerinden yapılacak tedarik ve sözleşme uyum boşluğu analizi, öncelikle hangi ürünün yeniden müzakere, kullanım daraltma, ek test veya çıkış planı gerektirdiğini ortaya koyar.
Eğitim kurumunun yapay zekâ tedarikindeki hedefi, satıcıdan “hatasız teknoloji” vaadi almak olamaz. Böyle bir vaat teknik olarak gerçekçi olmadığı gibi, kurumsal sorumluluğu da ortadan kaldırmaz. Hukuken değerli olan; sistemin ne için kullanıldığını sınırlandırmak, iddiaları ölçülebilir kılmak, gerekli kanıta erişmek, değişikliği zamanında görmek, insan kararını korumak, hatayı düzeltmek ve çıkışı mümkün tutmaktır.
YAZEK etik kullanımı beyan edilebilir hâle getirir. Etki değerlendirmesi, kurumun hangi koşullarda kullanıma izin vereceğini belirler. Sözleşme ise bu koşulların tedarikçi ve teknoloji değişirken ayakta kalmasını sağlar. Bu üç katman birbirinden koparsa kurum, dönem başında doğru bir beyan vermiş olsa dahi dönem ortasında artık tanımadığı bir sistemin sonuçlarını savunmak zorunda kalabilir.
Bu yüzden algoritma, sınıfa girmeden önce yalnızca satın alma listesine değil; amacı, sınırı, kanıtı, değişikliği ve çıkışıyla sözleşmeye girmelidir. İyi sözleşme algoritmayı kusursuz yapmaz. Kurumun onu tanımasını, sorgulamasını, sınırlamasını, durdurmasını ve gerektiğinde terk etmesini mümkün kılar.
Bu çalışma hazırlanırken Genesis Hukuk’un Eğitim Teknolojileri ve Hukuk yayınları ile özellikle LMS verileri ve gözetim, içerik hakları, hukuki profil çıkarma, hassas veri yönetimi, etik yönetişim, uzaktan eğitimde yapay zekâ ve sigorta-sorumluluk incelemeleri birlikte taranmıştır. Bu yazı söz konusu başlıkları yeniden anlatmak yerine, o çalışmalarda belirlenen kurumsal yükümlülüklerin tedarik şartnamesi, sözleşme, kabul, değişiklik ve çıkış haklarına nasıl çevrileceğini incelemektedir.
Editöryel not: Bu yazı genel hukuki değerlendirme ve politika önerisi niteliğindedir. Hazır sözleşme maddesi veya her kurum için tek tip çözüm sunmaz. Somut alımda kurumun statüsü, ihale rejimi, veri akışı, öğrenci grubu, kullanımın etkisi, tarafların fiilî rolleri, tedarik zinciri ve güncel mevzuat ayrıca incelenmelidir.
